Oracle hat das Critical Security Patch Update (CSPU) für September 2026 veröffentlicht. Das Update umfasst 673 neue Sicherheits-Patches für eine Vielzahl von Oracle-Produkten und Produktfamilien.

Betroffen sind zahlreiche Unternehmenslösungen, darunter Datenbankplattformen, Middleware, Unternehmensanwendungen, Identitätsmanagement-Lösungen und Management-Tools.

Besonders hervorzuheben sind sechs Schwachstellen mit einem CVSS-Score von 10,0, der höchsten Kritikalitätsstufe.

Die wichtigsten Zahlen

• 673 neue Sicherheits-Patches
• 104 Patches mit kritischem Schweregrad
• 6 Schwachstellen mit CVSS 10,0
• Zahlreiche betroffene Produkte und Versionen
• Einige Schwachstellen können aus der Ferne und ohne Authentifizierung ausgenutzt werden

Schwachstellen mit CVSS 10,0

Zu den Schwachstellen mit der höchsten Bewertung gehören:

Die Schwachstellen betreffen unterschiedliche Komponenten und Versionen der genannten Produkte. In einigen Fällen kann ein nicht authentifizierter Angreifer die Schwachstelle über netzwerkbasierte Dienste ausnutzen. Dies kann zu einem unbefugten Zugriff oder zu einer Beeinträchtigung der Vertraulichkeit und Integrität von Informationen führen.

CVE-2026-71133 – Oracle Access Manager

Die Schwachstelle betrifft die Authentifizierungs-Engine von Oracle Access Manager. Sie kann von einem nicht authentifizierten Angreifer aus der Ferne über HTTP ausgenutzt werden und möglicherweise eine Kompromittierung des betroffenen Produkts ermöglichen.

CVE-2026-83099 – Oracle Forms

Die Schwachstelle betrifft Forms Services, einschließlich der Komponenten C/S und Charmode. Ein nicht authentifizierter Angreifer mit HTTP-Zugriff kann die Schwachstelle ausnutzen und das betroffene Produkt kompromittieren.

CVE-2026-83059 – Oracle Internet Directory

Die Schwachstelle betrifft die LDAP-Server-Komponente von Oracle Internet Directory. Sie kann von einem nicht authentifizierten Angreifer aus der Ferne über LDAP ausgenutzt werden.

CVE-2026-83020 – Oracle Platform Security for Java

Die Schwachstelle betrifft die Komponente Centralized Thirdparty Jars. Ein nicht authentifizierter Angreifer mit HTTP-Zugriff kann das Produkt kompromittieren und möglicherweise auch andere davon abhängige Produkte beeinflussen.

CVE-2026-83021 – Oracle WebLogic Server

Die Schwachstelle betrifft die Web-Container-Komponente von Oracle WebLogic Server. Sie kann von einem nicht authentifizierten Angreifer aus der Ferne über HTTP ausgenutzt werden und möglicherweise eine Kompromittierung des Servers ermöglichen.

CVE-2026-87230 – Oracle Hyperion Financial Management

Die Schwachstelle betrifft die Security-Komponente von Oracle Hyperion Financial Management, Version 11.2.26.0.000.

Die Schwachstelle ist für einen nicht authentifizierten Angreifer mit Netzwerkzugriff über HTTP leicht ausnutzbar. Eine erfolgreiche Ausnutzung kann unter anderem einen unbefugten Zugriff auf kritische Daten sowie das unbefugte Erstellen, Ändern oder Löschen von Informationen ermöglichen.

Die Schwachstelle verfügt über einen CVSS-3.1-Score von 10,0.

Betroffene Produkte

Das Oracle-Sicherheitsupdate betrifft eine große Anzahl von Produkten und Versionen, darunter:

• Oracle Access Manager
• Oracle Forms
• Oracle Internet Directory
• Oracle Platform Security for Java
• Oracle WebLogic Server
• Oracle Database Server
• Oracle E-Business Suite
• Oracle Fusion Middleware
• Oracle Identity Manager
• Oracle WebCenter
• Oracle PeopleSoft
• Oracle Siebel
• Oracle Hyperion Financial Management
• Oracle Banking
• Oracle Communications
• Oracle Data Integrator
• Oracle VM VirtualBox und weitere Produkte.

Welche Systeme tatsächlich betroffen sind, hängt vom eingesetzten Produkt und der jeweiligen Version ab. Unternehmen sollten daher die offiziellen Oracle-Sicherheitshinweise und Risikomatrizen prüfen.

Sicherheitsempfehlungen

Für Unternehmen, die betroffene Oracle-Produkte einsetzen, werden folgende Maßnahmen empfohlen:

1. Oracle-Inventar überprüfen und alle eingesetzten Produkte und Versionen identifizieren.
2. Betroffene Versionen ermitteln, insbesondere bei aus dem Internet erreichbaren Systemen und Schwachstellen mit einem CVSS-Score von 10,0.
3. Die offiziellen Oracle-Sicherheitspatches aus dem CSPU für September 2026 installieren.
4. Die erfolgreiche Installation der Patches überprüfen und sicherstellen, dass keine verwundbaren Systeme weiterhin exponiert sind.

Bis zur Installation der Updates können vorübergehende Maßnahmen zur Risikoreduzierung eingesetzt werden, beispielsweise die Einschränkung des Netzwerkzugriffs oder die Entfernung nicht benötigter Berechtigungen. Diese Maßnahmen sind jedoch nur als Übergangslösung zu betrachten und ersetzen nicht die Installation der offiziellen Sicherheitspatches.

Warum dieses Update wichtig ist

Das Vorhandensein von Schwachstellen mit einem CVSS-Score von 10,0, insbesondere wenn diese aus der Ferne und ohne Authentifizierung ausgenutzt werden können, macht eine zeitnahe Überprüfung der betroffenen Oracle-Umgebungen erforderlich.

Unternehmen, die Oracle WebLogic Server, Oracle Access Manager, Oracle Forms, Oracle Internet Directory, Oracle Platform Security for Java oder Oracle Hyperion Financial Management einsetzen, sollten ihre installierten Versionen überprüfen und mit den Angaben des offiziellen Oracle-Sicherheitsupdates abgleichen.

Offizielle Quelle

Oracle – Critical Security Patch Update Advisory, September 2026

https://www.oracle.com/security-alerts/cspusep2026.html

Für aktuelle Informationen zu betroffenen Produkten, Versionen, CVEs, CVSS-Bewertungen und verfügbaren Sicherheitspatches sollte stets das offizielle Oracle Security Advisory herangezogen werden.